Фотография на пропуске сотрудника или посетителя организации без его письменного согласия является разглашением персональных данных. К такому выводу пришел ВС РФ в определении от 05.03.2018 № 307-КГ18-101 по делу № А42-342/2017.
Роскомнадзор в ходе плановой выездной проверки организации на предмет соответствия обработки персональных данных требованиям законодательства выявил нарушения. Организация занимается предоставлением населению услуг спортивно-оздоровительного направления и содержит в том числе бассейн. Посетители в него проходят по пропускам с фотографиями.
Фотография относится к персональным биометрическим данным исходя из определения закона «О персональных данных» от 27.07.2006 № 152-ФЗ. Согласно пункту 1 статьи 11 закона биометрические персональные данные могут обрабатываться только при наличии письменного согласия субъекта персональных данных. Такие разъяснения Роскомнадзор направил поднадзорным компаниям еще в 2013 году.
Поскольку в проверенной организации посетители бассейна не давали письменного согласия на обработку персональных биометрических данных (фотографий), надзорное ведомство составило акт и выдало организации предписание об устранении выявленных нарушений.
Организация выразила свое несогласие с решением Роскомнадзора подачей заявления в судебные органы о признании предписания недействительным. Областной арбитражный суд требование организации удовлетворил, но в апелляционных инстанциях это решение было отменено. Встал на сторону надзорного органа и Верховный суд, отказав организации в рассмотрении кассационной жалобы судебной коллегией ВС РФ.
Для справки. Привлечение юрлица к ответственности за отсутствие письменного согласия на обработку персональных данных гражданина, выраженную в использовании его фото, возможно по части 2 статьи 13.11 КоАП РФ. Штрафные санкции — от 15 000 до 75 000 рублей.